Lotus o wiper que apaga discos a baixo nível e ameaça infraestrutura crítica na Venezuela

Recentemente, a descoberta de um software malicioso de remoção massiva de dados que até agora não havia sido documentado publicamente e que, segundo os pesquisadores, foi utilizada em ataques dirigidos contra organizações do setor energético e de serviços na Venezuela. A análise técnica, publicada pela Kaspersky, mostra uma operação em várias fases desenhada para deixar máquinas e servidores em um estado irreparável: primeiro são desativados mecanismos de defesa e sabotem as opções de recuperação, e depois chega a fase final, na qual o código destrói discos a baixo nível.

Os detalhes técnicos explicados pelos analistas revelam uma cadeia de ferramentas e scripts que atuam como preparação do terreno. A partir de um primeiro programa por lote, os serviços do Windows são neutralizados e são realizados testes para coordenar a execução em equipamentos ligados a um domínio. Um segundo programa amplia as ações: lista as contas locais, força mudanças de senha para desativá-las, fecha sessões ativas, curta interfaces de rede e anula inícios de sessão armazenados, dificultando tanto a resposta humana como a recuperação remota.

Além dessas ações administrativas, os atacantes recorrem a utilitários legítimos do sistema —ferramentas que normalmente são usadas por administradores — para apagar e sobrepor conteúdo: invoca-se diskpart para executar “clean all” e preencher os setores com zeros, é usado roubocopy para sobrepor arquivos e se recurre a fsutil para criar arquivos que ocupem o espaço livre do disco, o que complica ainda mais qualquer tentativa de restauração de dados. Kaspersky descreve como, após estas manobras iniciais, o script decifra e lança o executável final do rascunho, batizado pelos pesquisadores como Lotus. Pode ler o relatório técnico na publicação do próprio laboratório: Kaspersky Securelist sobre Lotus.

O que distingue Lotus é que não se limita a apagar arquivos a nível de sistema de arquivos: opera a um nível mais profundo mediante chamadas IOCTL ao disco físico, obtém a geometria do disco, limpa entradas de jornais USN e elimina pontos de restauração. O componente de remoção descreve setores físicos completos — não apenas volumes lógicos — e repete ciclos de eliminação e eliminação de pontos de restauração até deixar o dispositivo em um estado onde as técnicas habituais de recuperação são ineficazes. Em paralelo, o wiper eleva os seus privilégios para garantir o acesso administrativo pleno e aplica técnicas como renombrar arquivos de forma aleatória e sobrepor o seu conteúdo com zeros antes de removê-los ou agendar a sua eliminação no arranque se estiverem bloqueados.

O padrão operacional que descrevem os especialistas desenha uma campanha dirigida e calculada: o binário de Lotus foi subido para uma plataforma pública em meados de dezembro de uma máquina localizada na Venezuela, e seu comportamento se encaixa com táticas usadas em ataques destrutivos anteriores, nos quais a intenção não é o resgate econômico, mas a eliminação irreversível de dados e a interrupção prolongada de serviços críticos.

O Kaspersky também aponta para o contexto: o aparecimento de malware coincide com um momento de alta tensão geopolítica na região e com relatos de mídia sobre incidentes que afetaram infraestrutura energética em datas próximas. No entanto, os pesquisadores sublinham que não há evidências públicas que permitam atribuir de forma direta todos esses incidentes ao uso deste wiper específico ou que confirmem que organizações concretas sofreram deletadas totais por Lotus.

Do ponto de vista de detecção e resposta, os indicadores que emergem do relatório devem servir como prioridade para administradores e equipamentos de segurança: mudanças invulgares na partilha NETLOGON, manipulação de serviços como UI0Detect, modificações massivas de contas de usuário, desconexão ou desactivação de interfaces de rede e uso inesperado e massivo de ferramentas como diskpart, roubocopy ou fsutil costumam preceder a detonação da carga destrutiva. Vigiar a telemetria destas áreas e correlacionar-a com outros sinais de compromisso pode permitir parar a campanha antes de a remoção ser executada a baixo nível.

Em termos práticos, as recomendações básicas não diferem das boas práticas contra programas destrutivos: manter cópias de segurança offline e air-gapped, verificar periodicamente que essas cópias são restauratáveis, restringir o uso de contas com privilégios e auditar mudanças nelas, aplicar princípios de mínimo privilégio em ambientes produtivos e implantar detecção avançada que identifique uso abusivo de utilidades legítimas do sistema. Para guias operacionais e recursos de defesa contra este tipo de ameaças, agências de segurança e centros de resposta publicaram recomendações abertas que convém rever, como as coletadas pela Agência de Segurança de Infra-estruturas e Cibersegurança dos EUA ( CISA — StopRansomware).

O caso de Lotus lembra que as ameaças destrutivas continuam a ser uma ferramenta eficaz em conflitos cibernéticos e que a defesa exige uma combinação de prevenção técnica, boas práticas administrativas e preparação operacional. Os equipamentos de infra-estruturas críticas devem priorizar a visibilidade de mudanças no ambiente e a conservação segura de cópias de dados, porque uma vez que um wiper que atua a nível físico começa a operar, as opções de recuperação diminuem drasticamente.

Se você quer aprofundar a análise técnica e os indicadores de compromisso que a Kaspersky publicou, você pode consultar o relatório original em seu blog: Kaspersky — Lotus wiper. Para medidas gerais de preparação e resposta a ransomware e wipers, os recursos de CISA são um bom ponto de partida: https://www.cisa.gov/stopransomware.